Capítulo 4 — Risco avançado e ética

Mapa da aula

Aula 04 publicada. Mapa, exemplo, EX016.

flowchart TD
  N0["4.1 A ética dos números"]
  N1["4.2 Conflitos de interesse"]
  N2["4.3 Proteger as pessoas"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX016"]

Desenho lógico

flowchart LR
  N0["4.1 A ética dos números"]
  N1["4.2 Conflitos de interesse"]
  N2["4.3 Proteger as pessoas"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX016"]

[4.1 A ética dos números]
    |
    v
[4.2 Conflitos de interesse]
    |
    v
[4.3 Proteger as pessoas]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX016]

Objetivos de aprendizagem

Você vai (1) identificar questões éticas na quantificação de riscos e na garantia; (2) lidar com conflitos de interesse; (3) proteger as pessoas afetadas pelas decisões de risco.

4.1 A ética dos números

Daniel considera as questões éticas da quantificação. Os números podem ser usados para justificar o corte de controles, escolhendo entradas otimistas, ou para assustar os conselhos e fazê-los gastar, com entradas pessimistas. Ele aprende que a prática ética significa documentar as fontes de cada estimativa, convidar a contestação independente e relatar as faixas com honestidade. Também observa que as pessoas afetadas pelos riscos, como os segurados cujos dados podem ser expostos, raramente aparecem nos modelos de perda, então seus interesses precisam de atenção explícita. No cenário de vazamento no fornecedor, ele acrescenta ao lado dos números um relato curto do dano aos segurados.

4.2 Conflitos de interesse

O papel de Daniel cria possíveis conflitos. Ele estima riscos de controles operados por sua própria equipe, e seu bônus depende em parte de cumprir metas orçamentárias. A Dra. Varga pergunta como ele vai lidar com isso. Ele propõe que a auditoria interna revise suas principais estimativas, que ele declare o conflito ao comitê de riscos e que as decisões orçamentárias sejam tomadas por pessoas diferentes de quem estima. Aprende que os conflitos são normais na prática e se tornam prejudiciais sobretudo quando escondidos. Também registra a declaração na ata do comitê, para que revisores futuros vejam que o conflito era conhecido quando as estimativas foram aceitas.

4.3 Proteger as pessoas

A Halbrook considera reduzir os custos de notificação de violações estreitando o que conta como incidente notificável. Daniel aponta que as obrigações de notificação vêm da lei e que estreitá-las prejudicaria os segurados, que precisam se proteger. Ele recomenda, em vez disso, investir numa detecção mais rápida para que os incidentes sejam menores, o que também reduz o número de segurados afetados, algo que a abordagem da notificação só teria escondido. Ele aprende que os profissionais de GRC às vezes precisam defender pessoas de fora da organização, e que cumprir a lei é um mínimo, e não a medida completa da conduta ética.

Exemplo resolvido

Daniel documenta as fontes das estimativas, declara e mitiga seus conflitos e defende os interesses dos segurados nas decisões de notificação.

Caso sintético. Os casos são sintéticos.

Erros e limites

Os julgamentos éticos podem ser contestados. Conflitos declarados ainda influenciam.

Exercícios

• EX016 — Números mal usados. Como os números podem ser mal usados na quantificação de riscos?
  Mostrar critérios de avaliação

  Rubrica: 3 = entradas otimistas ou pessimistas escolhidas para justificar uma conclusão;; 2 = manipulação;; 1 = vago;; 0 = nenhuma.
• EX017 — Interesses ausentes. Os interesses de quem raramente aparecem nos modelos de perda?
  Mostrar critérios de avaliação

  Rubrica: 3 = das pessoas afetadas, como os segurados;; 2 = segurados;; 1 = vago;; 0 = nenhuma.
• EX018 — Medidas contra conflitos. O que Daniel propôs para lidar com seus conflitos?
  Mostrar critérios de avaliação

  Rubrica: 3 = revisão pela auditoria, declaração, decisores orçamentários separados;; 2 = três;; 1 = vago;; 0 = nenhuma.
• EX019 — Posição sobre a notificação. Por que Daniel se opôs a estreitar os incidentes notificáveis?
  Mostrar critérios de avaliação

  Rubrica: 3 = prejudicaria os segurados e conflitaria com os deveres legais;; 2 = dano;; 1 = vago;; 0 = nenhuma.
• EX020 — Mínimo do compliance. Como cumprir a lei deve ser visto do ponto de vista ético?
  Mostrar critérios de avaliação

  Rubrica: 3 = como um mínimo, não a medida completa;; 2 = mínimo;; 1 = vago;; 0 = nenhuma.

Síntese

A prática ética de GRC documenta as estimativas, gerencia conflitos e protege quem é afetado pelo risco.